Quem deve poder alterar a regra de determinação do código e como registrar a mudança?

Discordo de um ponto: acesso mais registro não bastam se ninguém lê o registro. No fim das contas, pois é, o log existe e ninguém abre até o auditor pedir. Eu agendaria uma revisão curta e periódica com o dono da regra, comparando o estado atual com o último aprovado, e guardaria o resultado da revisão. As notas de projeto que li pedem dossiê com data, dono e vínculo com a regra; sem a revisão, o dossiê envelhece.

Quem altera a regra deve ser um grupo pequeno e nominal, e quem aprova a mudança não pode ser quem a faz. Agora, o cuidado é separar três papéis:

1. quem pede (o fiscal, com a justificativa);
2. quem aprova (o responsável tributário da empresa);
3. quem executa (a parametrização ou o desenvolvimento).

Cada mudança sai com pedido registrado, data, autor e o estado antes e depois. Acesso individual, nunca por credencial compartilhada, e revogado ao fim do trabalho. Um guia de projeto que li registra exatamente isso para o acesso de consultor.

Complemento com o lado de quem sofre a mudança. Quero saber uma coisa antes de definir acesso: quem usa o resultado da regra sabe quando ela mudou? Ou seja, tá, o controle de acesso evita a alteração sem aviso, mas não avisa o fiscal. Em cinco anos de fiscal, a pior surpresa foi descobrir no fechamento. Por isso incluo um aviso ao fiscal a cada mudança aprovada, com a data de vigência, e uma nota de teste logo depois. Para as extensões Z do fiscal, as notas de projeto que li falam em análise de impacto antes e regressão depois.